Comprate una TV box en la feria y regalale tu Wi-Fi a un ciberdelincuente: la historia que presentaron en Ekoparty

¿Te tienta una TV box barata que aparece en cualquier Marketplace? Dos especialistas en seguridad informática compraron una en una feria de Santiago de Chile, la enchufaron y se llevaron una sorpresa que presentaron en Ekoparty 22, la conferencia de ciber que se hace todos los años en Buenos Aires. Anthony De La Paz, experto en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, destriparon el aparato y encontraron que el firmware —o sea, el software de fábrica que hace que el equipo encienda— ya traía código malicioso metido antes de que vos tocaras nada.

Para el que no esté ducho: una TV box es una cajita que se conecta al televisor por HDMI y corre Android. Sirve para ver streaming, acceder a canales sin pagar'abonnement —perdón, sin pagar suscripción— y transformar cualquier tele vieja en smart. En pesos argentinos, según modelo y forma de pago, los precios arrancan cerca de los 27.000 y pueden trepar hasta los 66.000. Algo tentador, sí. Pero acá viene lo feo.

¿Qué encontraron dentro de la cajita?

Al conectar el equipo, los investigadores vieron que hablaba solito con un servidor de comando y control (C2, en la jerga: la computadora desde la que un atacante le da órdenes a distancia). Ese servidor ya estaba catalogado como malicioso por bases de datos de amenazas. No hizo falta abrir el navegador ni instalar nada raro: el aparato se conectaba solo, de fábrica.

• Abrieron la caja, sacaron una copia de la memoria y encontraron el código responsable escondido en el firmware, la capa de software más profunda, la que está antes del sistema operativo visible.
• Restaurar el equipo a configuración de fábrica no borraba el problema: el código estaba más abajo, en una zona que el botón de reset no toca.
• Reprodujeron en laboratorio el servidor malicioso, redirigieron la comunicación hacia una red propia y pudieron ejecutar órdenes en el dispositivo en cuestión de segundos.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, investigadores

¿Qué puede hacer un aparato así con tu conexión?

El primer riesgo es que la TV box funcione como proxy, que en criollo quiere decir que hace pasar el tráfico de otros por tu conexión a internet. Tu dirección IP —ese número que identifica a tu Wi-Fi en la red, como el DNI de tu router— queda asociada a actividades que vos no hiciste. Eso puede terminar en bloqueos o en que te pidan mil veces que demuestres que no sos un robot cada vez que querés mirar tu mail.

El segundo riesgo es más personal: si el sistema está controlado desde afuera, todo lo que tipees adentro queda expuesto. Contraseñas, datos de tarjetas, lo que sea. Los investigadores pudieron ejecutar comandos en el dispositivo en segundos. Imaginate lo que puede hacer alguien con más paciencia que ellos y peores intenciones.

La moraleja, como diría mi abuela, es la de siempre: lo barato sale caro. Pero en este caso no es un consejo de almacenero, es un dato técnico y documentado por dos especialistas que lo mostraron en una de las conferencias de seguridad más picantes de la región. Si ya compraste una y la tenés conectada, lo mínimo que podés hacer es sacarla de la red y pensar muy bien si vale la pena seguir usándola. Veremos.